Зашифрований SNI (ESNI)

Зашифрований SNI (ESNI) усуває тонкий витік у HTTPS. Під час рукостискання TLS клієнт зазвичай надсилає ім'я хоста призначення у відкритому вигляді в полі Server Name Indication, щоб сервер, який хостить багато сайтів, знав, який сертифікат надати. Це означає, що спостерігач у мережі може бачити, який сайт ви відвідуєте, навіть попри те що вміст сторінки зашифрований. ESNI та його повніший наступник Encrypted Client Hello (ECH) шифрують це поле, тож ім'я хоста більше не розкривається під час передавання.

Це важливо, бо усуває один з останніх сигналів у відкритому вигляді в загалом зашифрованому сеансі, доповнюючи зашифрований DNS: DoH приховує запит, а ESNI/ECH приховує ім'я хоста в рукостисканні, тож разом вони прибирають прості способи побачити, куди ви прямуєте. Підтримка залежить від браузера, сервера та CDN перед ним, і поширення досі нерівномірне, причому ECH тепер є напрямком розвитку. Для повсякденної приватності це ще один шар, а не самостійний інструмент — найкорисніший у поєднанні з VPN та зашифрованим DNS, а не тоді, коли покладаються лише на нього.

Підтримка ESNI та ECH залежить від вашого браузера, сервера та CDN перед ним, і поширення досі нерівномірне, причому ECH є напрямком розвитку. Сприймайте це як один шар серед кількох: поєднайте його із зашифрованим DNS, щоб приховати запит, і VPN, щоб приховати вашу IP-адресу, тож ім'я хоста, запит і походження будуть охоплені. Саме по собі приховування поля SNI закриває єдиний витік, а не забезпечує наскрізну анонімність.